Page 61 - 大数据背景下网络安全问题研究

» 第二章 信息安全工程实践应用

得到客户委托的基础上进行测试操作。客户委托是进行渗透测试的必要条件，应保证
用户对渗透测试所有细节和风险都知晓，所有的过程都应在用户控制下进行。
通过收集信息和分析，存在两种可能性：一是目标系统存在重大弱点，测试者可
以直接控制目标系统，此时测试者可以直接调查目标系统中的弱点分布、原因，并形
成最终的测试报告；二是目标系统不存在重大的远程弱点，但可以获得普通的远程权

限，此时测试者可以通过该普通权限进一步收集目标系统的信息，并在之后尽最大努
力，在分析本地资料信息的基础上寻求升级本地权限的机会。这些不停地开展信息收
集分析、权限升级的结果构成了整个渗透测试过程的输出。渗透测试的结果将以《渗

透测试报告》的形式提交，同时提交相应主机系统的安全加固方案。渗透测试是安全
威胁分析的一个重要数据来源。
为防止在渗透测试过程中出现异常情况，所有目标系统在被评估之前都应做一次
完整的系统备份，或者关闭在进行的操作，以便在系统发生灾难后能够及时恢复。如

对操作系统类，可制作系统应急盘，对系统信息、注册表、sam文件、/etc中的配置文
件以及其他含有重要系统配置信息和用户信息的目录和文件进行备份，并确保备份的
自身安全；如对数据库系统类，可对数据库系统进行数据转储，同时对数据库系统的

配置信息和用户信息进行备份，并妥善保护好备份数据；如对网络应用系统类，可对
网络应用服务系统及其配置、用户信息、数据库等进行备份；如对网络设备类，可对
网络设备的配置文件进行备份；如对桌面系统类，可备份用户信息、用户文档、电子
邮件等信息资料。
渗透测试过程的最大风险在于测试过程中对业务产生的影响，因此应采取有效的

措施来减小风险。例如，在渗透测试过程中不使用含有拒绝服务的测试策略；将渗透
测试时间安排在业务量不大的时段或晚上进行；在渗透测试过程中如果出现目标系统
没有响应的情况，那么应立即停止测试工作，与用户相关人员一起分析情况，在确定

原因后并采取必要的预防措施（如调整测试策略等）后，再继续进行测试。实施模拟
渗透测试的工程师和用户相关人员应保持良好沟通，随时协商解决出现的各种难题。
3.网络架构与业务流程分析
网络架构和业务流程审计是指通过绘制详细的网络拓扑图和业务流程并进行审

计，来发现可能存在的安全漏洞。网络拓扑、系统配置和业务流程是信息系统的重要
参数，那些被用户忽略的不正确配置很有可能成为系统的弱点，而且由于存在着密切
的联系，这三者之间缺乏一致性，同样可能成为弱点。因此，网络架构和业务流程审
计的目的正是在于检验这些参数的正确性和一致性。在网络架构和业务流程审计过程

中，评估人员首先对用户的网络和应用情况做尽可能全面的了解，然后绘出网络拓扑
图和业务流程图，根据分析人员的经验寻找其中存在的问题。

• 49 •